iPhone模拟器及本地设备请求特定Express API端点超时问题排查

核心现象总结 #

本地网络下所有设备请求API均超时，重启电脑后短暂恢复；Postman、在线请求工具reqbin请求超时，但另一在线工具可正常访问；服务器无SSL证书，API使用默认配置的cors和helmet。

排查方向与解决方案 #

1. 本地网络层面问题 #

• TCP连接数耗尽：重启电脑后短暂恢复符合连接数释放的特征，用以下命令排查本地到服务器的连接状态：

  # Windows
  netstat -ano | findstr "你的服务器端口"
  # macOS/Linux
  netstat -an | grep "你的服务器端口"
  

  若存在大量TIME_WAIT或ESTABLISHED状态的连接，可调整系统TCP参数（比如Windows的TcpTimedWaitDelay，Linux的tcp_fin_timeout）加速连接回收。
• 防火墙/路由器限制：检查本地防火墙（Windows Defender、第三方杀毒软件）是否新增阻止API端口出站的规则；路由器是否开启端口过滤或QoS限制，临时关闭防火墙测试是否恢复。
• DNS缓存异常：本地DNS缓存失效可能导致域名解析异常，执行以下命令刷新缓存后，用服务器IP替代域名发起请求测试：

  # Windows
  ipconfig /flushdns
  # macOS
  sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
  # Linux
  sudo systemctl restart nscd
  

2. Express API端问题 #

• 未处理的异步阻塞/错误：端点代码中的异步操作（db.query、func(wpid)）若抛出未捕获错误或长时间阻塞，会导致请求挂起超时。给关键步骤添加日志并捕获所有异常：

  router.post('/', async (req, res) => {
    console.log('请求到达时间:', new Date().toISOString());
    try {
      const token = extractJwtFromBearer(req.headers.authorization);
      console.log('Token提取状态:', token ? '存在' : '缺失');
  
      if (isTokenExpired(token)) {
        return res.status(401).json({ error: 'jwt_expired', message: 'Jwt已过期' });
      }
      
      const verification = verifyJwt(token);
      console.log('Token验证结果:', verification);
  
      if (!verification.verified) {
        return res.status(400).json({ message: verification.err });
      }
      
      const wpid = req.body.wpid;
      const user_id = verification.decoded.user_id;
      console.log('执行DB查询，用户ID:', user_id, 'wpid:', wpid);
  
      const queryResult = await db.query('queryHere');
      console.log('DB查询结果行数:', queryResult.rowCount);
  
      if (!queryResult.rowCount) {
        return res.status(401).json({ message: '授权错误!' });
      }
      
      const { result, error } = await func(wpid);
      console.log('业务函数执行结果:', { result, error });
  
      if (error) {
        return res.status(400).json({ message: error });
      }
      res.json(result);
    } catch (err) {
      console.error('未捕获错误:', err);
      res.status(500).json({ message: '服务器内部错误' });
    }
  });
  

  查看服务器日志，确认请求是否到达及哪一步出现阻塞或错误。
• Helmet默认配置冲突：Helmet默认启用的HSTS安全头可能影响非HTTPS请求，临时注释Helmet导入测试：

  // const helmet = require('helmet');
  // app.use(helmet());
  

  若恢复正常，可针对性配置Helmet禁用HSTS：

  app.use(helmet({
    hsts: false
  }));
  

• CORS显式配置：虽然默认CORS允许所有来源，显式配置允许本地来源可避免隐藏限制：

  const cors = require('cors');
  app.use(cors({
    origin: ['http://localhost:端口号', 'http://你的本地IP:端口号'], // 替换为Flutter应用的本地地址
    credentials: true
  }));
  

3. 请求差异排查 #

在线工具能正常访问说明服务器本身可达，对比本地请求与在线工具的差异：

• 检查Flutter请求是否遗漏Authorization头（API依赖该头提取JWT，但示例代码未添加）：

  final response = await dio.post("/gwpdt",
    options: Options(
      headers: {
        'Content-Type': 'application/json',
        'Authorization': 'Bearer 你的JWT令牌'
      },
    ),
    data: {"wpid": wpid}
  );
  

• 用curl模拟Flutter请求头测试：

  curl -X POST http://你的服务器地址/gwpdt \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer 你的JWT令牌" \
    -d '{"wpid": "测试ID"}'
  

内容的提问来源于stack exchange，提问作者Ertuğrul Faruk Pişkin